跨站脚本(XSS)漏洞

原理：攻击者对含有漏洞的服务器发起XSS攻击(注入JS代码)，诱使受害者打开受到攻击的服务器URL，受害者在Web浏览器中打开URL，恶意脚本执行。

1. 反射型XSS:<非持久化>攻击者事先制好攻击链接，需要欺骗用户自己去点击链接才能触发XSS代码，一般容易出现在搜索页面。一般是后端代码执行的。
2. 存储型XSS：<持久化> 代码是存储在服务器数据库中的，如在个人信息或发表文章等地方，加入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，每当有用户访问该页面的时候都会触发代码执行，这种XSS非常危险，容易造成蠕虫，大量盗窃cookie（虽然还有种DOM型XSS，但是也还是包括在存储型XSS内）
3. DOM型XSS：基于文档对象模型Document Objeet Model，DOM)的一种漏洞。DOM是一个与平台、编程语言无关的接口，它允许程序或脚本动态地访问和更新文档内容、结构和样式，处理后的结果能够成为显示页面的一部分。DOM中有很多对象，其中一些是用户可以操纵的，如uRI ，location，refelTer等。客户端的脚本程序可以通过DOM动态地检查和修改页面内容，它不依赖于提交数据到服务器端，而从客户端获得DOM中的数据在本地执行，如果DOM中的数据没有经过严格确认，就会产生DOM XSS漏洞。一般是浏览器前端代码进行处理。

危害：[1]挂马 [2]盗取用户Cookie [3]DOS（拒绝服务）客服端浏览器 [4]钓鱼攻击，高级钓鱼技巧 [5]删除目标文章，恶意篡改数据、嫁祸。 [6]劫持用户Web行为，甚至进一步渗透内网。 [7]爆发Web2.0蠕虫 [8]蠕虫式的DDoS攻击 [9]蠕虫式挂马攻击、刷广告、刷流量、破坏网上数据 [10]其他安全问题